Agent 的行动系统：工具、代码与「手脚」

感知（01）看见、推理（02）想清楚、记忆（03）记得住——最后一步是行动：真的去查、去算、去改、去点。行动系统是 Agent 对世界产生影响的唯一通道，也是风险最大的通道（改错文件、删错数据、越权调用）。本篇讲三大行动形态与行动安全。

1. 工具调用（Function Calling / Tool Use）

•模型输出结构化指令「调用 X 工具 + 传参 Y」，框架执行并回传结果；

•工具分类：应用内函数：计算、转换、业务逻辑；外部 API/服务：搜索、数据库、邮件、支付；MCP 服务端：统一接口接入的一批工具（板块二 05 篇详讲）；

•关键设计：工具定义（名称+描述+参数 Schema）质量决定调用准确率——「描述清楚」比「工具多」更重要。

2. 代码执行（Code Execution）

•Agent 生成代码 → 在沙箱/解释器中运行 → 读输出 → 修正（如 Python 数据分析、脚本任务）；

•形态：内嵌解释器（ChatGPT Advanced Data Analysis）、CLI Agent（Claude Code 跑命令）、云端沙箱（隔离执行）；

•优势：通用性——代码是万能工具，不需要预先定义每个工具；

•风险：代码 = 最大权限——必须沙箱隔离 + 命令白名单（谁都不想 Agent 执行 rm -rf /）。

3. 界面操作（Computer Use / GUI Action）

•模型像人一样操作界面：点击、键入、滚动、拖拽（感知 01 篇的环境鸿沟在这里兑现）；

•代表：Claude Computer Use（OSWorld 61.4%）、手机 Agent（AutoGLM）、浏览器 Agent；

•行动原语：点击(x,y) / 输入文本 / 按键 / 滚动 / 等待界面变化；

•意义：把「没有 API 的老软件」也纳入 Agent 可操作范围——通用性极高、稳定性偏低。

Agent 能做的事越多，失控代价越大。行动系统必须内建控制：

•核心原则：Agent 的权限不是「能给多少」，而是「最小需要多少」——行动越自由，护栏越要硬。

1工具粒度：单个工具映射「自然意图」（建 issue/查库存/读文件），而非低层 API 操作——粒度太细定义爆炸、太粗模型难用；

2错误回传：工具失败要返回可理解的结构化错误（原因+建议），让模型能修正重试（衔接推理系统反思）；

3确定性兜底：能用脚本/流程解决的步骤别让模型「自由发挥」——确定性部分外包给代码；

4动作预算：限制最大步数/最大成本，防死循环烧 token。

1三形态：工具调用（稳·需定义）/ 代码执行（通用·需沙箱）/ 界面操作（人化·易漂移）——生产级混用。

2工具定义质量 > 工具数量：名称+描述+Schema 决定调用准确率。

3代码 = 最大权限：必须沙箱 + 白名单。

4安全六机制：授权最小化 / HITL / 沙箱 / 回滚 / 审计 / 熔断。

5核心原则：权限 = 最小需要；行动越自由护栏越硬。

6板块一收官：感知 × 推理 × 记忆 × 行动 = Agent 构成四件套（00 开篇回顾）。

第 05 篇（板块二·机制开篇）：MCP 协议——行动系统的「手脚」如何统一接入：一个工具接一次、处处可用。三原语（Tools/Resources/Prompts）、客户端-服务端架构、以及从 Anthropic 开源到 Linux Foundation 托管、2026-07-28 无状态规范 RC 的标准化之路。MCP = Agent 的 HTTP。

•[官方] OpenAI Function Calling 文档：https://platform.openai.com/docs/guides/function-calling

•[官方] Claude Computer Use：https://www.anthropic.com/news/claude-4-computer-use

•[官方] Anthropic Tool Use / MCP 文档：https://modelcontextprotocol.io

•[参考] AIOS 1.0 / LiteCUA（行动抽象）：https://arxiv.org/abs/2505.18829

整理：2026-10-01 月绡凝 · 依据官方论文与工程文档。